KI-Richtlinie für Unternehmen: Inhalte, Muster und Schatten-KI

Schatten-KI: Warum Ihr Unternehmen eine KI-Richtlinie braucht

Viele Mitarbeiter nutzen KI längst im Arbeitsalltag, ob das Unternehmen davon weiß oder nicht. Laut einer repräsentativen Umfrage ist in 8 % der Unternehmen die Nutzung privater KI-Zugänge im Job weit verbreitet (Bitkom, Oktober 2025; befragt wurden Unternehmen ab 20 Beschäftigten). KI-Tools, die ohne Wissen oder Freigabe des Arbeitgebers beruflich eingesetzt werden, meist über kostenlose private Konten, nennt man Schatten-KI.

Fehlen Regeln für diese Nutzung, betrifft das vier Bereiche:

• Landen Namen, E-Mails oder Vertragsdaten von Kunden in einem privaten Konto, fehlt der Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Bei Privatkonten können Eingaben je nach Anbieter und Einstellung außerdem zum Training der Modelle genutzt werden.
• Das Geschäftsgeheimnisgesetz schützt Informationen nur, wenn sie „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen“ sind (§ 2 Nr. 1 GeschGehG). Klare Regeln, was in KI-Tools eingegeben werden darf, können Teil solcher Maßnahmen sein.
• KI-Ergebnisse können falsch sein. Ohne Prüfpflicht gehen fehlerhafte Zahlen, Angebote oder Rechtsaussagen ungeprüft an Kunden.
• Art. 4 KI-Verordnung verlangt von Unternehmen, die KI beruflich einsetzen, Maßnahmen, die die KI-Kompetenz ihres Personals unterstützen. Ein bestimmtes Niveau müssen sie nicht garantieren. Eine Richtlinie plus kurze Schulung ist eine einfache, nachweisbare Maßnahme. Mehr dazu auf unserer Seite KI sicher und rechtskonform nutzen.

Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, empfiehlt deshalb klare interne Weisungen: Sie sollen dokumentieren, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen genutzt werden dürfen, am besten mit konkreten Beispielen für erlaubte und untersagte Einsatzszenarien.

Was in eine KI-Richtlinie gehört

Eine gute KI-Richtlinie, oft auch KI-Nutzungsrichtlinie genannt, ist kurz und in der Sprache Ihres Betriebs geschrieben. Diese acht Punkte sollten Sie regeln.

1. Freigegebene Tools und Konten

Legen Sie fest, welche KI-Tools erlaubt sind, und zwar nur mit Firmenkonten im Business-Tarif, nicht über private Zugänge. Für jedes Tool sollte klar sein, wofür es genutzt wird und ob ein Vertrag zur Auftragsverarbeitung besteht. Denken Sie auch an KI-Funktionen in vorhandener Software, etwa im Office-Paket, im CRM oder im Grafikprogramm. Bei Tools, die selbst auf Firmendaten zugreifen (z. B. Microsoft Copilot mit Zugriff auf E-Mails und Dateiablagen), prüfen Sie vorher die Zugriffsrechte. Sonst fördert die KI Dokumente zutage, auf die Mitarbeiter zwar technisch Zugriff haben, die sie aber nicht sehen sollten.

2. Erlaubte und verbotene Daten

Am verständlichsten ist eine Datenampel. Sie beantwortet die häufigste Frage im Alltag: Darf ich das hier eingeben?

Wie Sie personenbezogene Daten vor der Eingabe unkenntlich machen, zeigen wir im Artikel ChatGPT und Datenschutz.

3. Prüfpflicht und Vier-Augen-Prinzip

KI-Ergebnisse sind Entwürfe. Regeln Sie, dass Fakten, Zahlen, Zitate und rechtliche Aussagen vor der Verwendung geprüft werden. Für alles, was nach außen geht, also Angebote, Kundenschreiben, Website- und Social-Media-Texte, empfiehlt sich ein Vier-Augen-Prinzip: Eine zweite Person liest gegen, bevor etwas veröffentlicht oder verschickt wird. In sehr kleinen Teams genügt eine bewusste Endkontrolle mit etwas zeitlichem Abstand.

4. Kennzeichnung nach Art. 50 KI-Verordnung

Seit dem 02.08.2026 gelten die Transparenzpflichten der KI-Verordnung. Für die meisten Betriebe sind drei Fälle relevant:

• Ein KI-Chatbot für Kunden muss erkennen lassen, dass man mit einer KI kommuniziert, sofern das nicht ohnehin offensichtlich ist.
• Realistische KI-Bilder, -Videos oder -Stimmen, die täuschen können (Deepfakes), sind bei Veröffentlichung zu kennzeichnen, etwa ein fotorealistisches KI-Produktbild oder ein KI-Avatar der Geschäftsführung.
• KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, sind zu kennzeichnen, wenn kein Mensch sie geprüft hat und redaktionell verantwortet.

Gewöhnliche Werbe- und Produkttexte fallen in der Regel nicht darunter. Ausnahmen können Aussagen zu Gesundheit, Sicherheit oder Nachhaltigkeit sein. Interne Texte gelten nicht als veröffentlicht.

5. Zuständigkeit

Benennen Sie einen Ansprechpartner für KI-Fragen und eine Vertretung. Er gibt neue Tools frei, pflegt die Tool-Übersicht und ist erste Anlaufstelle bei Fehlern. Ein offizieller KI-Beauftragter ist dafür nicht vorgeschrieben. Warum, lesen Sie im Artikel Braucht mein Unternehmen einen KI-Beauftragten?

6. Schulung und Dokumentation

Regeln Sie, wer wann geschult wird: neue Mitarbeiter beim Einstieg, alle anderen bei größeren Änderungen. Eine kurze, rollenbezogene Schulung mit Datum, Inhalt und Teilnehmern lässt sich einfach dokumentieren. Ein Zertifikat ist nicht vorgeschrieben. Passende Formate finden Sie bei unseren KI-Workshops und Schulungen.

7. Neue Tools melden und freigeben

Ständig kommen neue KI-Tools und Funktionen hinzu. Ein einfacher Freigabeweg verhindert, dass daraus neue Schatten-KI wird: Mitarbeiter melden ein Tool, der Ansprechpartner prüft es anhand weniger Fragen.

• Gibt es einen Business-Tarif mit Vertrag zur Auftragsverarbeitung?
• Werden Eingaben zum Training genutzt, und lässt sich das abschalten?
• Wo werden die Daten gespeichert und verarbeitet?
• Wofür genau soll das Tool eingesetzt werden?

8. Umgang mit Fehlern

Fehler passieren, etwa wenn versehentlich Kundendaten in ein nicht freigegebenes Tool kopiert werden. Mitarbeiter sollten das sofort melden können, ohne Angst vor Bloßstellung. Der Ansprechpartner klärt mit der Geschäftsführung bzw. dem Datenschutzbeauftragten, ob eine Datenpanne vorliegt. Ist sie meldepflichtig, muss die Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden erfolgen (Art. 33 DSGVO).

Muster-Gliederung für Ihre KI-Richtlinie

Die folgende Gliederung können Sie als Gerüst nutzen. Einen fertigen Vertragstext finden Sie hier bewusst nicht, denn jede Richtlinie muss zu Ihren Tools, Ihrer Branche und Ihren Abläufen passen.

1. Zweck und Geltungsbereich: Für wen gilt die Richtlinie (Mitarbeiter, Aushilfen, Freelancer) und für welche Tätigkeiten?
2. Begriffe: Was zählt als KI-Tool, auch KI-Funktionen in bestehender Software?
3. Freigegebene Tools: Verweis auf die Tool-Übersicht im Anhang; nur Firmenkonten.
4. Datenregeln: Datenampel mit Beispielen aus Ihrem Alltag.
5. Prüfung und Freigabe: Prüfpflicht für alle Ergebnisse, Vier-Augen-Prinzip für Externes.
6. Kennzeichnung: Wann ein Hinweis auf KI nötig ist (Chatbot, Deepfakes, öffentliche Texte).
7. Zuständigkeit: Ansprechpartner, Vertretung, Kontaktweg.
8. Schulung und Nachweise: Wer wann geschult wird und wo die Nachweise liegen.
9. Neue Tools: Meldeweg und Prüffragen.
10. Fehler und Datenpannen: Was sofort zu tun ist und wen man informiert.
11. Überprüfung: Wer die Richtlinie wann aktualisiert, z. B. halbjährlich.

Als Anhänge eignen sich die Tool-Übersicht, die Datenampel als Einseiter zum Aushängen und eine Vorlage für Schulungsnachweise. Für die Tool-Übersicht reicht eine einfache Tabelle:

Den Betriebsrat von Anfang an einbinden

Gibt es in Ihrem Unternehmen einen Betriebsrat, sollten Sie ihn bei KI-Tools früh einbinden. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt er mit bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Ob ein KI-Tool darunter fällt, hängt von der Ausgestaltung ab. Werden Nutzung und Verläufe protokolliert und lassen sie sich einzelnen Mitarbeitern zuordnen, liegt das nahe.

Hinzu kommen weitere Rechte:

• Der Arbeitgeber muss den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG).
• Muss der Betriebsrat die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen insoweit als erforderlich (§ 80 Abs. 3 BetrVG).

Eine Möglichkeit ist eine Rahmen-Betriebsvereinbarung zu KI: Sie legt die Grundregeln fest, während die Tool-Liste flexibel bleibt. Auch die DSK nennt Betriebs- und Dienstvereinbarungen als Weg, einen klaren Rahmen zu schaffen. Ohne Betriebsrat lohnt es sich trotzdem, die Regeln im Team offen zu erklären, denn wer die Gründe kennt, hält sich eher daran.

Mini-Richtlinie für Selbstständige und die Arbeit mit Freelancern

Auch ohne Mitarbeiter lohnt sich eine kurze schriftliche Regel für Sie selbst. Sie zwingt zu klaren Entscheidungen und hilft, wenn Kunden fragen, wie Sie mit ihren Daten umgehen. Eine Seite reicht:

• Welche Tools Sie beruflich nutzen, mit Business-Konto oder zumindest abgeschalteter Trainingsnutzung.
• Welche Kundendaten nie hineinkommen, z. B. Namen, Adressen, Vertragsdetails, Gesundheitsangaben.
• Wie Sie Ergebnisse prüfen, bevor sie zum Kunden gehen.
• Wann Sie Kunden über den KI-Einsatz informieren oder ihre Zustimmung einholen.
• Wo Ihre Verträge zur Auftragsverarbeitung abgelegt sind.

Arbeiten Sie mit Freelancern, gehören die wichtigsten Punkte in den Vertrag oder eine kurze Zusatzvereinbarung:

• Offenlegung, ob und welche KI-Tools eingesetzt werden.
• Keine Daten Ihrer Kunden in private oder kostenlose Konten.
• Ein Vertrag zur Auftragsverarbeitung, wenn der Freelancer in Ihrem Auftrag personenbezogene Daten verarbeitet (Art. 28 DSGVO).
• Verschwiegenheit sowie Rückgabe oder Löschung von Unterlagen nach Projektende.
• Rechte an den Ergebnissen: Rein KI-generierte Inhalte sind urheberrechtlich oft nicht geschützt, weil das Gesetz eine „persönliche geistige Schöpfung“ verlangt (§ 2 Abs. 2 UrhG). Regeln Sie deshalb ausdrücklich, was Sie nutzen dürfen.

Nehmen Sie eine selbstständige Immobilienmaklerin, die Exposé-Texte von einer freien Texterin schreiben lässt. Ihre Mini-Richtlinie legt fest, dass Objektdaten nur ohne Adresse und ohne Eigentümernamen weitergehen, dass die Texterin einen Business-Zugang nutzt und dass die Maklerin jeden Text vor der Veröffentlichung prüft.

KI-Governance im kleinen Betrieb

KI-Governance klingt nach Konzern, gemeint sind aber einfache Fragen: Wer entscheidet im Betrieb über KI, nach welchen Regeln, und wie prüfen Sie, ob das funktioniert? Sie ist die Grundlage für KI-Compliance, also dafür, dass Ihr KI-Einsatz die geltenden Regeln einhält. Für KMU genügen fünf Bausteine:

Besonders aufpassen müssen Sie bei KI in der Personalauswahl oder zur Prüfung der Kreditwürdigkeit. Dafür gelten ab dem 02.12.2027 die Hochrisiko-Pflichten der KI-Verordnung. Markieren Sie solche Tools schon jetzt in Ihrer Tool-Übersicht.

Größere Organisationen orientieren sich an der internationalen Norm ISO/IEC 42001:2023 für KI-Managementsysteme. Für die meisten kleinen Betriebe wäre ein formales Managementsystem zu viel Aufwand. Die fünf Bausteine decken das Wesentliche ab.

In fünf Schritten zur eigenen KI-Richtlinie

1. Fragen Sie offen, welche KI-Tools bereits genutzt werden, auch privat. Wer ehrlich antwortet, sollte keine Nachteile haben, sonst erfahren Sie nicht, was tatsächlich im Einsatz ist.
2. Entscheiden Sie sich für wenige Tools mit Firmenkonten und Vertrag zur Auftragsverarbeitung. Einen neutralen Überblick gibt unser KI-Tools-Vergleich.
3. Schreiben Sie die Richtlinie anhand der Muster-Gliederung, ergänzen Sie Beispiele aus Ihrem Alltag und binden Sie Betriebsrat und Datenschutzbeauftragten früh ein.
4. Erklären Sie die Regeln in einer kurzen Schulung und dokumentieren Sie die Teilnahme.
5. Gleichen Sie Richtlinie und Tool-Übersicht regelmäßig mit der Praxis ab.

Wie die KI-Einführung insgesamt gelingt, beschreibt unser Leitfaden zur KI-Einführung. Wenn Sie die Richtlinie nicht allein schreiben möchten, erarbeiten wir sie als Zusatz zum Team-Workshop gemeinsam mit Ihnen, dazu eine Tool-Übersicht für Ihren Betrieb. Der Preis dafür beträgt 990 € zzgl. USt (1.178,10 € brutto).